minha seguradora quer ver um relatório de teste de penetração, o que devo fornecer

O que uma seguradora entende por "relatório de teste de penetração"

Geralmente, a seguradora não solicita o relatório técnico completo, mas um resumo: qual foi o escopo testado, quando, por quem, e quais foram as descobertas em nível alto e médio. Um sumário executivo com data, empresa de testes e status do acompanhamento é frequentemente suficiente na prática. O relatório completo com detalhes de exploração é enviado apenas se especificamente solicitado, e nesse caso é prudente verificar o que você protege através do botão de confidencialidade — uma seguradora tem interesse na conclusão, não nas vulnerabilidades técnicas em si.

Se você não realizou um teste de penetração, "não, ainda não planejado" é uma resposta mais honesta do que deixar o campo em branco ou enviar um relatório antigo de outro sistema. Muitas seguradoras perguntam isso como parte de uma visão mais ampla sobre um processo para detectar e corrigir vulnerabilidades— um teste de penetração é uma evidência, não a resposta completa. Se o teste estiver ausente, ainda assim é possível demonstrar se há verificações, política de patches ou outro processo de detecção em funcionamento — isso também pesa, mesmo sem relatório de testes.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

Um teste de penetração em si não consta como obrigação separada no artigo 21.º, n.º 2 da Diretiva NIS2; este enumera dez categorias de medidas, incluindo o tratamento de vulnerabilidades e a avaliação da eficácia das medidas. Um teste de penetração é uma forma de demonstrar essa eficácia, juntamente com, por exemplo, uma auditoria interna — ver também ou se a eficácia das medidas de segurança é testada periodicamente. Na Norma ISO/IEC 27001 Anexo A, os testes de penetração também não aparecem como ponto de controle separado; enquadram-se nas medidas de controle para vulnerabilidades técnicas. As seguradoras frequentemente perguntam sobre isso independentemente dessa regulamentação, como indicador de risco próprio além dos requisitos legais ou normativos — trata-se de prática de seguros, não de obrigação legal da NIS2 ou da Lei de Cibersegurança.